 
DIVISION DE CAEN
Caen, le 23 juin 2017 N/Réf. : CODEP-CAE-2017-024828 Monsieur le Directeur du CNPE de Penly BP 854 76 370 NEUVILLE-LES-DIEPPE
OBJET : Contrôle des installations nucléaires de base CNPE de Penly, INB 136 et 140 Inspection n° INS-CAE-2017-0302 du 7 juin 2017 Management de la sûreté Réf. : [1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V
[2] Guide ASN du 21 octobre 2005 relatif aux modalités de déclaration et à la codification des critères relatifs aux événements significatifs impliquant la sûreté, la radioprotection ou l'environnement applicable aux installations nucléaires de base et au transport de matières radioactives 
[3] Arrêté ministériel modifié du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base 
[4] Document EDF D4008.27.01JPG/VB/Le Manuel Qualité de la DPN indice 5 du 12 décembre 2014 Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection annoncée a eu lieu le 7 juin 2017 au CNPE de Penly sur le thème du management de la sûreté. J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De L'Inspection

L'inspection du 7 juin 2017 a concerné le management de la sûreté mis en œuvre sur le CNPE de Penly. 

Dans un premier temps, les inspecteurs ont examiné la méthode d'élaboration de la revue du macroprocessus « contrôler et améliorer la sûreté » en fin d'année 2016, l'élaboration du plan d'action d'amélioration associé pour l'année 2017 et le suivi de ce plan d'action. Puis, les inspecteurs ont examiné l'exploitation faite par le CNPE des événements intéressants la sûreté (EIS) ainsi que le processus décisionnel mis en œuvre lorsque les services opérationnels sont en désaccord avec la filière indépendante de sûreté (FIS) du site. Au vu de cet examen par sondage, l'organisation définie et mise en œuvre sur le site pour le management de la sûreté apparaît perfectible. Le diagnostic annuel de sûreté du site semble de qualité avec des actions définies pour traiter les axes d'amélioration identifiés. Néanmoins, des actions fortes doivent être engagées pour la documentation des événements intéressants la sûreté et la prise en compte du retour d'expérience associé. Par ailleurs, l'exploitant devra documenter et suivre avec rigueur le processus décisionnel mis en œuvre lorsque les services opérationnels sont en désaccord avec la FIS du site. 

�

## A Demandes D'Actions Correctives A.1 Exploitation Des Événements Intéressants La Sûreté (Eis)

Le guide ASN en référence [2] indique que « les […] événements n'entrant pas dans le champ des critères de déclaration, sont recensés par l'exploitant ou l'opérateur de transport pour en permettre l'analyse du retour d'expérience. Ceux-ci, dits événements intéressants, sont des événements dont l'importance immédiate ne justifie pas une analyse individuelle mais qui peuvent présenter un intérêt dans la mesure où leur caractère répétitif pourrait être le signe d'un problème nécessitant une analyse approfondie. Les informations relatives à ces événements sont accessibles, à la demande de l'ASN, aux inspecteurs des installations nucléaires de base et à l'IRSN. Pour chacun des domaines sûreté, radioprotection et environnement, l'exploitant définit ses propres critères pour identifier les événements intéressants. ». La directive interne EDF n° 100 (DI100) définit les modalités de caractérisation et de traitement des événements intéressant et prévoit notamment que ces événements soient mémorisés dans l'outil « SAPHIR ». Les inspecteurs ont souhaité examiner l'exploitation faite par EDF de ces EIS en termes de diagnostic de la sûreté de l'installation et de prise en compte du retour d'expérience. Il apparaît que ces événements ne sont pas mémorisés tels que prévu par la DI100 et ne font pas l'objet d'une analyse particulière dans ce cadre. 

## A.1.1 Je Vous Demande De Veiller Au Respect Du Guide Asn En Référence [2] Décliné En Exigences Dans La Di100 Relatives À La Mémorisation Des Eis Et À L'Analyse De Leur Caractère Répétitif. Vous M'Indiquerez Les Actions Menées En Ce Sens.

Malgré l'absence de mémorisation des EIS, vos représentants ont tout de même transmis aux inspecteurs des listes d'indisponibilités fortuites de groupe 1 et de groupe 2 au sens des Règles Générales d'Exploitation (RGE), qui correspondent à des EIS au sens des critères 1 et 2 définis dans la DI100. En effet, une analyse des événements redevables d'indisponibilités fortuites de groupe 1 est réalisée hebdomadairement par un ingénieur de sûreté en formation et annuellement dans le diagnostic annuel de sûreté du site. Les inspecteurs ont relevé que l'analyse réalisée hebdomadairement ne faisait l'objet d'aucun processus élémentaire dans votre système de management intégré. 

## A.1.2 Je Vous Demande De Définir Le Processus Élémentaire D'Analyse Hebdomadaire Des Indisponibilités Fortuites De Groupe 1 Dans Votre Système De Management Intégré.

Sur la base de ces listes et lors d'un examen par sondage, les inspecteurs ont souhaité vérifier si le retour d'expérience de ces événements avait été pris en compte de manière adéquate par le site. Ils ont notamment relevé les faits suivants sur la base des informations à leur disposition le jour de l'inspection : 
- Plusieurs indisponibilités fortuites de la chaîne de mesure du niveau de puissance du réacteur n° 2 référencée 2RPN010MA ont été déclarées en janvier et février 2017 sans que vos représentants puissent indiquer aux inspecteurs les causes de ces dysfonctionnements à répétition et les actions curatives, correctives et préventives mises en œuvre. 

- L'indisponibilité référencée « EPP1 » a été déclarée le 19 avril 2016 sur le réacteur n° 2. Lors de l'examen des faits, il apparaît que l'indisponibilité n'avait pas été identifiée par la filière opérationnelle en charge de la conduite de l'installation et de l'analyse des résultats des essais périodiques mais a néanmoins été identifiée par la filière indépendante de sûreté. Cet événement a fait l'objet d'un constat référencé 2016-04-03550 pour l'absence d'analyse d'un non-respect de critère dit « B » d'essai périodique. Le traitement de ce constat a conduit à régulariser la situation a posteriori en déclarant l'indisponibilité mais il apparaît qu'aucune analyse détaillée de l'événement n'a été initiée et qu'aucune action corrective n'a été mise en œuvre malgré le non-respect a priori du chapitre IX des RGE. 

- L'indisponibilité référencée « RCP8 »a été déclarée le 30 août 2016 sur le réacteur n° 2. Lors de l'examen des faits, il apparaît que des prescriptions particulières requérant notamment la disponibilité du boremètre étaient mises en œuvre dans le cadre d'une opération d'oxygénation du circuit primaire principal. Cependant, ces prescriptions n'ayant pas été reportées au tableau de suivi en salle de commande, l'indisponibilité fortuite du boremètre n'a pas donné lieu à l'identification rapide de l'indisponibilité fortuite RCP8 au sens des RGE. Malgré le non-respect du référentiel de conduite de l'installation qui aurait pu engendrer un non-respect des RGE, il apparaît qu'aucune analyse détaillée de l'événement n'a été initiée et qu'aucune action corrective n'a été mise en œuvre. 

- L'indisponibilité fortuite référencée « RGL5 » a été déclarée le 24 juillet 2016 sur le réacteur n° 2 pendant 52 minutes à la suite de l'apparition de l'alarme référencée « RGL029AA » et prévoit de replier le réacteur dans un état sûr sous une heure. Lors de l'examen des faits, il apparaît que l'indisponibilité n'a été déclarée qu'après confirmation du caractère avéré de l'alarme par l'astreinte du service automatisme. Ce délai entre l'apparition de l'alarme et la déclaration de l'indisponibilité peut potentiellement engendrer un non-respect de la conduite à tenir.

A.1.3 Pour les différents cas susmentionnés, je vous demande de me faire part de votre analyse des faits rencontrés sur la base des éléments à votre disposition. Vous veillerez à exploiter le retour d'expérience associé et vous positionnerez sur le caractère potentiellement significatif pour la sûreté des événements survenus. 

## A.2 Prise En Compte Des Exigences Relatives À La Protection Des Intérêts Dans Toute Décision Concernant L'Installation

L'article 2.4.1 de l'arrêté en référence [3] exige que : 
I. ― L'exploitant [définisse] et [mette] en œuvre un système de management intégré qui permet d'assurer que les exigences relatives à la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement sont systématiquement prises en compte dans toute décision concernant l'installation. Ce système a notamment pour objectif le respect des exigences des lois et règlements, du décret d'autorisation et des prescriptions et décisions de l'Autorité de sûreté nucléaire ainsi que de la conformité à la politique mentionnée à l'article 2.3.1.

II. ― Le système de management intégré précise les dispositions mises en œuvre en termes d'organisation et de ressources de tout ordre pour répondre aux objectifs mentionnés au I. Il est fondé sur des documents écrits et couvre l'ensemble des activités mentionnées à l'article 1er. 1. 

III. ― Le système de management intégré comporte notamment des dispositions permettant à l'exploitant :
― d'identifier les éléments et activités importants pour la protection, et leurs exigences définies ; 
― de s'assurer du respect des exigences définies et des dispositions des articles 2.5.3 et 2.5.4 ;
― d'identifier et de traiter les écarts et événements significatifs ; 
― de recueillir et d'exploiter le retour d'expérience ;
― de définir des indicateurs d'efficacité et de performance appropriés au regard des objectifs qu'il vise ».

Les inspecteurs ont examiné le processus décisionnel mis en œuvre notamment lorsque la filière opérationnelle et la FIS sont en désaccord. Ils ont notamment examiné par sondage la mise en œuvre de ce processus sur des cas concrets en 2016. Ils ont relevé les points suivants : - L'outil de suivi de ce processus ne semble pas rigoureusement renseigné notamment le positionnement des métiers et les références des suites données ne sont pas toujours renseignées. 

- La documentation de la décision finalement retenue par la direction du site semble insuffisamment argumentée pour certains cas et ne reprend notamment pas toujours les exigences réglementaires associées et la politique mentionnée à l'article 2.3.1 de l'arrêté en référence [3]. 

- La décision du 8 mars 2016 relative à la découverte d'écrous desserrés sur des échangeurs de refroidissement du réacteur et à une documentation inadaptée pour le serrage de ces écrous a été prise sans que les métiers compétents ne se soient positionnés de manière formalisée sur l'impact de ces écarts sur la tenue au séisme des équipements, ce positionnement ayant été réalisé a posteriori. 

Au vu des éléments susmentionnés, je vous demande de renforcer la rigueur du processus décisionnel mis en œuvre notamment lorsque la filière opérationnelle et la FIS sont en désaccord. Vous m'indiquerez les actions menées en ce sens.

## A.3 Maintien Et Mise En Œuvre Du Smi

L'article 2.4.2 de l'arrêté en référence [3] exige que « l'exploitant [mette] en place une organisation et des ressources adaptées pour définir son système de management intégré, le mettre en œuvre, le maintenir, l'évaluer et en améliorer l'efficacité. Il procède périodiquement à une revue de son système de management intégré dans le but d'en évaluer la performance, d'identifier les améliorations possibles, et de programmer la mise en œuvre des améliorations retenues ». Les inspecteurs ont souhaité faire un point d'avancement sur la déclinaison dans votre système de management intégré (SMI) des exigences du manuel qualité en référence [4]. Au vu des échanges avec vos représentants, il apparaît que la déclinaison de ces exigences n'est pas encore achevée. Par ailleurs, avec la mise en place du projet national « SDIN » au 2 mai 2017, il apparaît que vos services ont privilégié la mise à jour et la validation de « règles d'usage » opérationnelles préalablement à la mise à jour de votre système de management intégré. Ainsi, vous avez fait le choix de fonctionner avec des exigences mises à jour dans les procédures opératoires plutôt que dans votre SMI qui sera mis à jour dans un second temps a priori avant la fin de l'année 2017. Conformément à l'article 2.4.2 de l'arrêté en référence [3], je vous demande de veiller au maintien et à la bonne mise en œuvre de votre SMI notamment lorsque des modifications importantes de vos organisations sont effectuées. Pour la déclinaison des exigences du manuel qualité en référence [4] et la mise en place du projet national « SDIN », je vous demande de vous engager sur les mises à jour associées de votre SMI dans un délai compatible avec le respect des exigences des articles 2.4.1 et 2.4.2 de l'arrêté en référence [3]. 

## B Compléments D'Information B.1 Identification Et Mise En Œuvre Des Améliorations

L'article 2.4.2 de l'arrêté en référence [3] exige que « l'exploitant [mette] en place une organisation et des ressources adaptées pour définir son système de management intégré, le mettre en œuvre, le maintenir, l'évaluer et en améliorer l'efficacité. Il procède périodiquement à une revue de son système de management intégré dans le but d'en évaluer la performance, d'identifier les améliorations possibles, et de programmer la mise en œuvre des améliorations retenues ». Les inspecteurs ont examiné par sondage l'évaluation annuelle réalisée du macroprocessus « contrôler et améliorer la sûreté » et la définition des actions permettant d'en améliorer l'efficacité. Globalement, ils considèrent que cette évaluation permet d'identifier des axes de progrès et de mettre en place des actions a priori pertinentes. Néanmoins, les inspecteurs ont relevé les points suivants : - Le taux d'avancement du plan d'actions 2016 du macroprocessus « contrôler et améliorer la sûreté » était le plus bas vis-à-vis des autres macroprocessus lors de l'élaboration du diagnostic annuel de sûreté 2016. Il apparaît qu'il n'y a pas de suivi particulier et systématique de ce plan d'actions malgré la priorité accordée à la protection des intérêts au sens de l'arrêté en référence [3]. Il apparaît qu'aucune action pour améliorer le taux d'avancement du plan d'actions du macroprocessus « contrôler et améliorer la sûreté » n'était définie en 2017. 

- Le taux d'arbitrage de la direction en faveur de la FIS lorsqu'un désaccord existe entre les filières opérationnelles et la FIS était en baisse en 2016 par rapport aux années précédentes. Il apparaît que cette tendance à la baisse est en cours d'analyse et que des actions d'amélioration sont en cours de définition. 

- Le taux de réalisation des « plans de contrôle interne » était a priori très bas en 2016. Il apparaît que ce levier d'amélioration peine dans sa mise en œuvre et nécessite un suivi renforcé en 2017 sans qu'aucune action particulière n'ait été présentée sur le sujet le jour de l'inspection. Pour autant, ce levier d'amélioration semble important puisqu'il se base sur l'analyse de risques effectuée au vu des grandes activités programmées sur l'année à venir. 

- L'outil dit « OSRED », permettant d'analyser a posteriori les prises de décisions en temps réel, défini dans votre SMI n'est plus mis en œuvre depuis plusieurs années. Il apparaît que cet outil est jugé trop lourd dans sa mise en œuvre et a été abandonné par le site,
- Les échéances définies dans le plan d'actions 2017 ont interrogé les inspecteurs, certaines échéances étant définies au 1er janvier 2017 alors que les actions n'ont pu être lancées à cette date. 

Pour autant, lors des instances de pilotage de ces actions, ces échéances n'ont a priori pas été revues. 

Pour chacun de ces points, vous me ferez part de votre analyse de la situation vis-à-vis des exigences de l'article 2.4.2 de l'arrêté en référence [3]. Le cas échéant, vous m'informerez des actions mises en œuvre afin de vous conformer à ces exigences. 

## B.2 Définition Des Responsables De La Mise En Œuvre Des Actions D'Amélioration Et Mesures D'Efficacité Associées

Les inspecteurs ont examiné par sondage le plan d'actions 2017 du macroprocessus « contrôler et améliorer la sûreté ». Ils se sont notamment intéressés à la définition des responsables en charge de la mise en œuvre de ces actions d'amélioration et des mesures d'efficacité associées. Ils ont relevé les points suivants : - Le pilote désigné pour l'action « intégrer le dossier d'amendement sûreté » est la « structure sûreté qualité » (SSQ) du CNPE avec une mesure d'efficacité associée à la cible de cette action ainsi définie « 0 ESS DA sûreté » consistant a priori à ne pas avoir à déclarer un événement significatif dans le domaine de la sûreté associé à l'intégration du dossier d'amendement sûreté. Les inspecteurs s'interrogent sur le fait que la responsabilité du pilotage de cette action soit portée par la SSQ, au vu des missions définies dans votre directive interne n° 106 relative aux missions en matière de sûreté et de qualité. Par ailleurs, ils considèrent que la mesure d'efficacité associée à la cible de cette action n'est pas adéquate. 

- La mesure d'efficacité associée à la cible « réaliser l'analyse d'impact du décret du 28 juin 2016 » 
est définie ainsi « 100% des DMT obtenues » consistant a priori en l'obtention d'un accord pour mise en œuvre des demandes de modifications temporaires soumises à l'accord de l'ASN. Les inspecteurs considèrent que la mesure d'efficacité associée à cette cible n'est pas adéquate. 

Je vous demande de me faire part de votre analyse des points susmentionnés. Le cas échéant, vous m'indiquerez les actions mises en œuvre. 

## B.3 Définition Des Indicateurs De Performance

Les inspecteurs ont examiné les indicateurs de performances pris en compte par le site dans le cadre du macroprocessus « contrôler et améliorer la sûreté ». Ils ont relevé que la grande majorité de ces indicateurs était liée aux événements significatifs déclarés par le site à l'autorité de sûreté nucléaire mais qu'aucun indicateur ne portait sur les « signaux faibles » ayant ou étant susceptibles d'avoir un impact sur la protection des intérêts au sens de l'arrêté en référence [3]. Ces « signaux faibles » font néanmoins l'objet d'une analyse détaillée dans le diagnostic annuel de sûreté établi par le site. Par ailleurs, aucun indicateur de performance relatif à l'indépendance et à l'écoute de la FIS par la direction n'est défini alors qu'il s'agit d'un levier fondamental pour l'amélioration de la sûreté des installations. Je vous demande de vous positionner sur l'opportunité de définir des indicateurs de performance du macroprocessus « contrôler et améliorer la sûreté » relatifs aux signaux faibles et à l'indépendance et l'écoute de la FIS. 

## C Observations

Sans Objet. 

�
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

La chef de division, Signé par Hélène HÉRON 